CVE-2026-109393 in QloApps
Riassunto
di VulDB • 12/10/2026
QloApps fino alla versione 1.7.0 presenta una vulnerabilità di riferimento diretto a oggetti non sicuro (IDOR) nei gestori AJAX del back-office di AdminOrdersController, AdminBookingDocumentController, AdminProductsController e AdminAddHotelController che bypassano i controlli htl_access per gli hotel. I dipendenti con accesso limitato agli hotel possono fornire identificatori sequenziali relativi ad altri hotel per leggere, caricare ed eliminare documenti di prenotazione nonché eliminare stanze, immagini delle stanze e immagini degli hotel.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.